Golpe com falsas páginas de NFe usa arquivos maliciosos para atacar empresas
Campanha explora a rotina de áreas fiscais, financeiras e contábeis e recomenda atenção a links, anexos e domínios recebidos por canais digitais
Empresas e profissionais das áreas fiscal, financeira e contábil devem redobrar a atenção com mensagens relacionadas à emissão, consulta e autenticação de Notas Fiscais Eletrônicas (NFe). Uma infraestrutura de phishing identificada no fim de julho de 2026 imitava páginas associadas à NFe, Secretarias da Fazenda (SEFAZ) e Gov.br para induzir usuários a baixar arquivos potencialmente maliciosos. O alerta é da LC SEC, especializada em cibersegurança e compliance, que recomenda tratar os indicadores observados como suspeitos e reforçar os mecanismos de monitoramento e proteção.
A infraestrutura analisada utilizava o subdomínio sorrystorage[.]duckdns[.]org e apresentava diferentes alternativas para a entrega de arquivos, incluindo atalhos do Windows no formato LNK, páginas HTA e imagens ISO. Segundo uma investigação pública divulgada pelo pesquisador conhecido como @akaclandestine, a página oferecia aproximadamente 20 métodos de distribuição sob o pretexto de disponibilizar um “documento autenticado”. Até o momento, entretanto, não há confirmação independente sobre a família de malware eventualmente distribuída pela infraestrutura.
Essa estratégia explora uma rotina comum no ambiente corporativo, em que mensagens sobre notas fiscais, cobranças, documentos autenticados ou pendências tributárias fazem parte do cotidiano de áreas como financeiro, contabilidade, compras, logística e administração. Ao utilizar temas familiares e páginas visualmente semelhantes a serviços legítimos, criminosos podem reduzir a percepção de risco e induzir o destinatário a clicar em links, abrir anexos ou executar arquivos que não esperava receber.
Formato de arquivos
Além disso, formatos de arquivos LNK podem funcionar como atalhos capazes de executar comandos ou direcionar o sistema para recursos externos. Arquivos HTA podem utilizar componentes do próprio Windows para executar conteúdo, enquanto imagens ISO podem ser montadas pelo sistema e apresentar arquivos internos ao usuário. A presença dessas extensões não significa, por si só, que um arquivo seja malicioso, mas o recebimento inesperado de conteúdos desse tipo em uma comunicação fiscal deve ser investigado.
Para Luiz Claudio, CEO e fundador da LC SEC, a principal vulnerabilidade explorada nesse tipo de campanha está na familiaridade que o assunto desperta entre os profissionais.
“A engenharia social funciona justamente quando uma mensagem maliciosa se mistura à rotina. Uma NFe, uma cobrança ou um documento fiscal não parece necessariamente suspeito para quem recebe dezenas dessas comunicações todos os dias. Por isso, os criminosos podem utilizar assuntos comuns para induzir o usuário a abrir um arquivo ou acessar uma página sem verificar a origem”, afirma.
Uma investigação de abril de 2026 sobre uma campanha brasileira de phishing relacionada a NFe identificou o uso combinado de encurtamento de links e da reescrita de endereços pelo Microsoft Safe Links, fazendo com que o usuário visualizasse inicialmente um endereço associado à proteção da Microsoft antes de ser direcionado ao destino fraudulento. O caso reforça que HTTPS, o cadeado no navegador ou um domínio intermediário conhecido não garantem a legitimidade de uma página, especialmente diante da rapidez com que páginas fraudulentas podem ser configuradas com certificados digitais. Da mesma forma, serviços de DNS dinâmico têm aplicações legítimas, mas podem ser abusados para hospedar infraestruturas temporárias, tornando necessária a análise dos indicadores específicos de cada campanha.
Caso um usuário execute conteúdo malicioso, o equipamento pode ter credenciais, sessões de navegador, documentos e outros dados expostos. Dependendo da ameaça, uma conta corporativa comprometida também pode ser utilizada para enviar novas mensagens fraudulentas a clientes e fornecedores, aumentando a credibilidade dos golpes. Em ambientes corporativos, o comprometimento inicial ainda pode abrir caminho para movimentação lateral, acesso indevido a sistemas internos, fraude financeira e vazamento de informações.
Entre as medidas recomendadas estão consultar notas fiscais somente em portais oficiais acessados manualmente, evitar a instalação de programas ou supostos visualizadores recebidos por e-mail e investigar anexos inesperados nos formatos LNK, HTA, ISO, JS e outros tipos de scripts. Também é importante revisar o uso de PowerShell e ferramentas administrativas por usuários comuns, manter sistemas e soluções de proteção atualizados e utilizar autenticação multifator em e-mails, sistemas financeiros e acessos remotos.
Custo da violação de dados
No Brasil, o relatório de 2025 da IBM estimou em R$ 7,19 milhões o custo médio de uma violação de dados, enquanto o uso de inteligência de ameaças foi associado a uma redução média de R$ 655.110 nesses custos, reforçando a importância de identificar domínios falsos e infraestruturas maliciosas antes de um ataque. A LC SEC recomenda ainda que organizações utilizem canais para denúncia de mensagens suspeitas, treinamentos específicos para equipes fiscais, financeiras e contábeis e a consulta a registros de DNS, proxy, e-mail e proteção de endpoint para verificar possíveis comunicações com o indicador sorrystorage[.]duckdns[.]org. Caso seja identificado contato, a orientação é acionar a equipe de segurança e investigar o equipamento envolvido.
Segundo o especialista, a prevenção precisa combinar controles técnicos, processos internos e capacitação dos funcionários. “A empresa não pode depender apenas da capacidade do colaborador de reconhecer uma fraude. É necessário combinar filtros de e-mail, proteção de endpoints, autenticação multifator, restrições à execução de scripts, monitoramento de domínios e um processo claro para comunicar mensagens suspeitas. Quanto menor o intervalo entre a identificação e a resposta, menor tende a ser o impacto de um eventual comprometimento”, explica Luiz Claudio.
